64
В рамках этапа «Подготовка концепции» используется только IT-
менеджер. По факту завершения всех описанных работ определяется самый
удачный из всех приемлемых вариантов, который сможет полностью
удовлетворить всем требованиям.
По факту завершения этапа «Подготовка концепции» выполняется ТЗ
проекта автоматизации. По факту его подготовки нужно его согласовать и
утвердить. В этом этапе принимают участие: IT-менеджер и руководитель
отдела делопроизводства. По факту завершения этот пункт отражает - функции
ИС и подсистем, состав совокупных и персональных задач, концепцию БД,
состав СУБД, параметры и функции программных средств.
По факту утверждения ТЗ реализуется разработка проектного решения.
IT-менеджер и программист готовят физическую и логическую модель БД,
отражают совокупную организацию данных.
По факту окончания этапа «Подготовка технического проекта» IT-
менеджер и программист готовят рабочую документацию, состоящую из:
программных и технических требований, руководства по применению. По итогу
всех работ и написания документации нужно лишь установить систему.
Этап установки состоит из: подготовки исследуемого объекта, тренинг
сотрудников, проведение пуско-наладочных и монтажных работ, реализация
испытаний, первый опытный запуск и приемочные испытания. На данном этапе
задействованы: IT-менеджер, сисадмин, руководитель делопроизводства. По
итогу происходит изучение итогов испытаний ИС, проверка соответствия ТЗ,
устранения возможных неполадок и подпись всех актов.
Сейчас все чаще применяют такую следующую модель ЖЦ:
Каскадная модель (рис. 2.2) включает в себя последовательную
реализацию описанных этапов в порядке очередности. Переход на дальнейший
этап отражает полную готовность на всех предыдущих.
65
Рис. 2.2 - Каскадная модель ЖЦ ИС
Поэтапная модель с серединным контролем (Рис. 2.3). Создание ИС
происходит итерациями с циклами обратной связи по каждому этапу.
Межэтапные проверки помогают учесть реально возникающие взаимовлияния
итогов проектировки на различных этапах; время жизни любого из этапов равно
совокупному периоду создания.
Рис. 2.3 - Поэтапная модель с серединным контролем
Разработка требований
Проектирование
Реализация
Тестирование
Ввод в действие
Разработка требований
Проектирование
Реализация
Тестирование
Ввод в действие
66
Спиральная модель (Рис. 2.4). Каждый цикл реализует создание другой
версии продукта, утверждаются правила проекта, проверяется уровень его
качество, рассматриваются работы будущего цикла.
Рис. 2.4 - Спиральная модель ЖЦ ИС
Большое внимание уделено стартовым этапам разработки – разработке и
изучению, где все технические решения корректируются и доказываются
методом создания прототипов.
Для разрабатываемого проекта наиболее подойдет каскадная модель для
разработки приложения из-за возможности контроля промежуточных фаз.
Далее произведем выбор стратегии внедрения разработанной системы. В
настоящий момент выделяется четыре стратегии внедрения информационной
системы:
Параллельная стратегия - для случая, когда старую работающую
систему необходимо заменить новой;
Скачок – эта стратегия подразумевает резкий переход от одной
системы автоматизации к другой;
Опытная эксплуатация "пилотного проекта - это тактика "скачка",
но применяемая к ограниченному числу изделий, наиболее успешна в малом
участке деятельности;
Узкое место - при внедрении "узкого места" план внедрения
выполняется только для "узкого места" и для людей, работающих в нем.
Проектирование
Реализация
Тестирование
Версия 1
Версия 2
Версия 3
Разработка
требований
Ввод в действие
прототипов системы
67
Исходя из описания и условий деятельности компании, а также
особенностей разрабатываемой информационной системы, в качестве стратегии
внедрения была выбрана стратегия Опытная эксплуатация пилотного проекта,
так как в этом случае внедрение системы произойдет наиболее безболезненно.
2.1.2 Ожидаемые риски на этапах жизненного цикла и их описание
Любой сложный проект, а особенно проект разработки программного
обеспечения, содержит в себе много неопределенных моментов, которые влекут
за собой риски реализации проекта.
Управление рисками заключается в их раннем выявлении и разработке
мер либо полностью предотвращающих их возникновение, либо
минимизирующих их последствия.
В настоящее время существует три общепринятых стратегии управления
рисками:
Избегание рисков – проект реорганизуется таким образом, чтобы
исключить возможность возникновения рисков;
Делегирование рисков – проект реорганизуется таким образом,
чтобы переложить риски на третью сторону (заказчика, банки, вендора и т.п.);
Принятие рисков – риски признаются в качестве неизбежной
составляющей проекта, проводится постоянный мониторинг симптомов их
наступления, постоянно корректируется план действий в случае наступления
рисков.
Различают две основные категории рисков – прямые и опосредованные.
На прямые риски проектная команда может каким-то образом повлиять, а
опосредованные риски команда контролировать не может в принципе.
Риски делятся на следующие основные виды:
Ресурсные риски:
o Организация (выполняла ли организация прежде проекты такого
масштаба, существует ли формальный процесс разработки программного
обеспечения и т.п.);
68
o Финансирование (полностью ли обеспечено финансирование
проекта, фиксирована ли стоимость проекта или она является предметом для
обсуждения, точно ли выполнена оценка затрат и т.п.);
o Люди (достаточно ли людей для выполнения проекта, обладают ли
они необходимыми навыками и опытом, работали ли они вместе раньше и т.п.);
o Время (реалистичен ли план проекта, насколько критичной является
дата окончания проекта и т.п.);
o Бизнес (что произойдет, если конкурент выйдет на рынок первым,
выгода, полученная от реализации проекта больше, чем затраты на него, что
произойдет, если ключевые поставщики не смогут выполнить свои
обязательства и т.п.);
Технические риски:
o Область действия (scope) проекта (могут ли быть измерены
критерии успешного завершения проекта, требования стабильны и хорошо
поняты, область действия жестко фиксирована или может расширяться в
будущем и т.п.);
o Технологии (отлажена ли применяемая технология или она только
была разработана, и т.п.);
o Внешние зависимости (зависит ли проект от других параллельных
проектов, зависит ли успех проекта от внешних поставщиков технологий и/или
продуктов и т.п.).
В данном проекте можно выделить следующие основные риски на каждом
этапе жизненного цикла (таблица 2.1).
69
Таблица 2.1
Основные риски на этапах жизненного цикла информационной
системы
Этап
Риск
Мероприятия
Заказ
Несоответствие выделенного
бюджета масштабу проекта
Переговоры по увеличению
бюджета или отказ от участия
в проекте
Заказ
Неформализуемая задача
(невозможно
автоматизировать те или
иные бизнес-процессы или
стоимость такой
автоматизации превысит
ожидаемую выгоду)
Пересмотреть область
действия проекта с целью
выделения отдельных задач,
поддающихся автоматизации.
Провести детальный анализ
бизнес-процессов и
предложить комплекс
мероприятий по их
реорганизации.
Проектирование
- неправильное определение
рамок и масштабов проекта;
- проектирование ошибочных
функций и интерфейсов
будущей системы;
- выбор неправильных
технологий и методов
решения поставленных
задач;
- несоблюдение требований
заказчика при
проектирование будущей
системы или постоянное
изменение требований.
- обеспечение стабильности
границ проекта,
определенных на начальном
этапе, вплоть до окончания
проекта;
- качественное планирование
работ;
- своевременная
идентификация проектных
рисков и разработка
рекомендаций по снижению
рисков;
- обеспечение проекта
необходимыми ресурсами;
- обязательное утверждение и
согласование по проектным
решениям
Разработка
Недостаточно ресурсов для
выполнения комплексного и
нагрузочного тестирования
Заключить договор со
специализированной
организацией на выполнение
ею этих работ.
Недостаточно опыта у
персонала заказчика,
который будет
эксплуатировать систему
Предоставить заказчику
услуги собственного
специалиста для
первоначального
сопровождения системы и
постепенного обучения
персонала заказчика.
Внедрение
- увеличение нагрузки на
персонал;
- несогласованность действий
персонала исполнителя и
сотрудников предметных
областей
- проведение обучения
персонала заказчика работы с
системой;
- составление плана
внедрения ИС
70
Кроме того, в процессе эксплуатации и сопровождения разработанной ИС
могут возникнуть:
технические риски;
риски персонала.
Факторами технических рисков являются:
ошибки в программе вызывающие простой системы;
невозможность осуществления требуемых действия, «зависание»
программы;
использование вредоносных программ (вирусы, черви, трояны,
логические бомбы), использование в корыстных целях найденных ошибок (дыр)
в программах,
перехват информации по телекоммуникациям, воровство
информации;
некорректная эксплуатация оборудования;
приостановка деятельности третьего лица (например, провайдера
Интернет услуг), что повлечет за собой невозможность передачи отчетов из
филиалов и контроля деятельности филиалов;
несоответствие функциональных возможностей системы бизнес-
процессам в комплексе задач в следствие реорганизационных изменений.
Предотвратить данные обстоятельства можно, соблюдая следующие моменты:
тщательное тестирование и выявление ошибок на этапе разработки;
устранять в кратчайшие сроки ошибки силами прошедших
подготовку на этапе внедрения технических специалистов;
администратор сети должен следить за безопасностью информации,
использовать и вовремя обновлять антивирусные программы,
правильно настроить FireWall, которые будут разделять локальную и внешнюю
сеть, предоставить работникам организации возможность работы только с той
информацией, которая им необходима для исполнения своих служебных
обязанностей;
71
разделение клиентского и серверного оборудования, а также
необходимо привлечение обученного работе с системой квалифицированного
персонала;
наличие альтернативных средств доступа в Интернет или других
способов передачи данных;
документирование технических условий и их согласование со всеми
заинтересованными участниками проекта;
обязательное утверждение любых изменений.
Факторами возникновения риска персонала являются следующие
обстоятельства:
нарушение информационной безопасности работы - возможна
утечка информации из-за злоумышленных действий сотрудников и не желании
работать с новой системой;
не определен этап выхода их проекта консультантов заказчика.
В противовес этому может выступать:
организация системы поощрений использующего систему
персонала заказчика;
прием на работу сотрудников при условии не разглашения
коммерческой тайны в противном случая - применение штрафных санкций;
четкое планирование сроков проекта и момента прекращения
работы над проектом со стороны исполнителя.
2.1.3 Организационно-правовые и программно-аппаратные средства
обеспечения информационной безопасности и защиты информации
Комплекс мер по защите информации в разрабатываемой системе
включает в себя следующие аспекты:
защита информации непосредственно в информационной системе
от внутренних угроз;
защита информации от внешних угроз.
Для защиты от внутренних угроз в системе используется политика
разделения прав доступа. Характеристика политики приведена в таблице 2.2.
72
Таблица 2.2
Разграничение прав пользователей
Группы
пользователей
Модуль
«Авторизация»
Модуль
«Регистрация
документов»
Модуль
«Справочн
ики»
Модуль
«Отчеты»
Сотрудники
предприятия
Чтение
Нет
Чтение
Ограничен
Менеджеры
Чтение
Полный
Чтение
Полный
Администрато
р системы
Полный
Полный
Полный
Полный
Защита от внешних угроз осуществляется путем применения следующих
способов:
- использованием программно-аппаратных комплексов;
- разработкой и соблюдение политик безопасности;
- использованием защищенных каналов связи при передаче информации;
- использованием антивирусных средств;
- физической защитой помещений с наиболее ценной информацией.
Характеристика используемых средств от внешних угроз
информационной безопасности приведена в таблице 2.3.
Таблица 2.3
Характеристика используемых средств от внешних угроз
информационной безопасности
Способ (метод)
Описание (наименование средства)
Программно-
аппаратные комплексы
защиты информации
КСЗИ «Панцирь-К»
Разработка и
соблюдение политик
безопасности
- ограничение доступа пользователей к
информации;
- анализ и статистика нарушений
информационной безопасности;
- информационный мониторинг;
- распределение ответственности по обеспечению
информационной безопасности;
- определение порядка работы с информацией,
являющейся конфиденциальной.
Антивирусная защита
ESET NOD32 Smart Security 4.2
Физическая защита
помещений
СКУД «Elsys»
КСЗИ «Панцирь-К» для ОС Windows 2000/XP/2003 собственными
средствами реализует все технические требования, регламентируемые для АС
класса защищенности 1Г.
Для шифрования данных в КСЗИ реализована возможность подключения
криптопровайдеров «Signal-COM CSP» (ЗАО «Сигнал КОМ») и «КриптоПро
73
CSP 3.0» (ТОО «Крипто-Про»), сертифицированных ФСБ России по
требованиям безопасности информации к классам «КС1» и «КC2».
Система предназначена для защиты информации, обрабатываемой на
автономном компьютере, либо на компьютерах в составе корпоративной сети.
КСЗИ служит для эффективного противодействия, как известным, так и
потенциально возможным атакам на защищаемые ресурсы, что обеспечивается
устранением архитектурных недостатков защиты современных ОС.
СКУД «Elsys» состоит из следующих элементов:
Линейное оборудование, включающее в себя контроллеры СКУД «Elsys-
MB-SM», работающие в автономном режиме. Переход УУ в автономный режим
работы осуществляется после программирования мастер-карты. В автономном
режиме при анализе полномочий пользователя не учитываются временные
расписания. Пользователям может быть назначен один из трёх уровней доступа,
в состав которых входят соответственно первый, второй, или оба считывателя.
При работе в автономном режиме могут быть использованы настройки УУ по
умолчанию, перечисленные ниже:
две двери с односторонним контролем;
два считывателя, совмещённых с клавиатурой;
время включения замков двери - 10 с;
задержка включения замков двери - 0 с;
время, отводимое на проход - 10 с;
режим автозакрывания включен;
- интерфейс считывателей - Wiegand (при программировании
мастер-карты возможно задание режима Touch Memory).
Эти настройки могут быть скорректированы с помощью программного
обеспечения "Бастион".
2.2 Информационное обеспечение задачи
2.2.1 Информационная модель и её описание
Информационная модель представляет собой схему движения входных,
промежуточных и результативных потоков и функций предметной области.